🎯 Mục tiêu chương
- Thiết kế bảo mật mạng Azure cơ bản với VNet và subnet.
- Cấu hình NSG, ASG và UDR để kiểm soát traffic.
- Bảo mật kết nối giữa các VNet qua peering và VPN.
- Sử dụng Network Watcher để giám sát và kiểm tra traffic.
Từ 30/09/2025, Azure Basic SKU Public IP và Load Balancer bị retire. Mọi triển khai mới phải dùng Standard SKU. NSG bắt buộc với Standard Public IP để kiểm soát inbound traffic.
📚 Nội dung chi tiết
5.1 Azure Virtual Network Security
- • VNet: không gian địa chỉ IP riêng
- • Subnet: phân chia VNet theo chức năng
- • Network Interface (NIC): gắn với VM
- • Public IP vs Private IP
- • Route table: điều hướng traffic
- • VNet là boundary mặc định trong Azure
- • Subnet không tự động bảo mật lẫn nhau
- • NSG cần gán vào subnet hoặc NIC
- • Default allow: all traffic trong VNet
5.2 Network Security Group (NSG)
NSG là firewall lớp 4 (TCP/UDP/ICMP), lọc traffic theo source/destination IP, port và protocol.
| Rule mặc định | Priority | Tác dụng |
|---|---|---|
| AllowVNetInBound | 65000 | Cho phép traffic trong VNet |
| AllowAzureLoadBalancer | 65001 | Health probe từ Load Balancer |
| DenyAllInBound | 65500 | Chặn tất cả inbound còn lại |
- •
Internet: traffic từ/ra Internet - •
VirtualNetwork: toàn bộ VNet space - •
AzureLoadBalancer: health probes - •
AzureCloud: tất cả Azure IPs
- • Nhóm NIC theo vai trò ứng dụng
- • NSG rule dùng ASG thay IP tĩnh
- • Dễ quản lý khi scale
- • VD: WebServers → DBServers trên port 1433
5.3 User Defined Route (UDR)
Azure tự quản lý: VNet local, Internet, VPN/ER gateway
Override system route, điều hướng qua NVA/firewall
Virtual appliance IP, VNet gateway, Internet, None (drop)
5.4 VNet Peering & VPN Gateway
- • Kết nối 2 VNet qua Microsoft backbone
- • Low latency, high bandwidth
- • Non-transitive: A↔B, B↔C ≠ A↔C
- • Gateway transit cho hub-spoke
- • Point-to-Site: client VPN
- • Site-to-Site: on-prem → Azure
- • IPSec/IKE encryption
- • Active-Active cho HA
5.5 Network Watcher
Kiểm tra traffic giữa VM và IP đích có được allow/deny không, và rule nào áp dụng.
Xem traffic từ VM sẽ đi đến next hop nào (internet, VNet, firewall IP...).
Log toàn bộ traffic allow/deny qua NSG, lưu vào Storage Account, phân tích bằng Traffic Analytics.
Kiểm tra end-to-end connectivity và latency giữa 2 điểm.
Dashboard phân tích NSG Flow Logs: top talkers, malicious flows, geo distribution.
Capture gói tin trực tiếp trên VM để debug sâu hơn.
🧪 Lab trong chương
Tạo VNet, subnet, VM, NSG. Cho phép RDP/SSH từ IP quản trị, chặn nguồn khác. Kiểm tra IP Flow Verify.
Xem labTạo ASG Web và DB, gán NIC, rule cho phép Web truy cập DB port 1433, chặn nguồn khác.
Xem labTạo route table, custom route với next hop firewall IP, gán vào subnet, kiểm tra Next Hop.
Xem labBật Network Watcher, tạo storage account, bật NSG Flow Logs, kích hoạt traffic test, phân tích log.
Xem lab